Hvem modtog og klikkede? Omfanget af en phishingkampagne

Forside › Undersøgelse efter et hackerangreb · Gennemgået oktober 2026 · Af John Nielsen

Omfanget af en phishingkampagne fastlægges i fire trin, der hver har sin egen logkilde: hvem der modtog mailen (message trace), hvem der klikkede på linket (klikdata fra linkbeskyttelse, proxy, DNS og endpoint), hvem der indtastede oplysninger eller godkendte noget (loginlogs), og hvilke konti der faktisk blev brugt af uvedkommende bagefter. Hvert trin indsnævrer gruppen. Resultatet er en liste, der kan bruges til at nulstille de rigtige konti og til at vurdere, om der er tale om et persondatabrud.

Haster det? Proxy- og DNS-logs roterer ofte efter dage, og loginlogs i Entra ID gemmes kun 7 eller 30 dage efter licens. Se akut forensisk sikring; hastesager koster ekstra.

Sikringen af selve mailen og landingssiden er beskrevet i Phishing-analyse: sikring af mail, link og landingsside. Her handler det om omfanget.

Fire niveauer af berørte

Modtaget · Spørgsmål: Hvem fik mailen leveret? · Hovedkilde: Message trace, mailfilterets logs
Klikket · Spørgsmål: Hvem åbnede linket? · Hovedkilde: Klikdata, proxy, DNS, EDR, browserhistorik
Indtastet · Spørgsmål: Hvem afgav kode eller godkendelse? · Hovedkilde: Loginlogs, risikohændelser
Kompromitteret · Spørgsmål: Hvem fik uvedkommende adgang? · Hovedkilde: Loginlogs, auditlog

Det er vigtigt at holde niveauerne adskilt i rapporten. “Modtaget” er ikke “klikket”, og “klikket” er ikke “kompromitteret”.

Trin 1: Hvem modtog mailen?

Find kampagnens kendetegn ud fra den sikrede mail: afsenderadresse, afsendende domæne og IP-adresser, emnelinje, links og vedhæftningers hashværdier. Kampagner varierer ofte afsender og emne, så søg bredt på flere kendetegn.

Message trace viser for hver mail, om den blev leveret til indbakken, sendt til uønsket post, sat i karantæne eller afvist. Vær opmærksom på mails, der blev leveret og derefter fjernet automatisk af filteret, når det senere genkendte kampagnen. De står som leveret i trace, men lå måske kun kort i indbakken. Tidsrummet mellem levering og fjernelse er relevant, fordi det er det vindue, hvor modtageren kunne klikke. I Microsoft 365 hedder funktionen zero-hour auto purge (ZAP), og den virker på mails leveret inden for de seneste 48 timer. Fjernelsen ses ikke i message trace og logges ikke i postkasse-auditeringen, men den kan findes i Threat Explorer, hvor handlingen står som ZAP, og som antal i rapporten over mailflow. → Message trace og transportlogs

Opbevaringen af detaljeret message trace er kort. På tidspunktet for gennemgangen (oktober 2026) kan Exchange Online søge 90 dage tilbage, heraf de seneste 10 dage med det samme og resten som bestilte rapporter, mens Gmail-logsøgningen dækker 30 dage fuldt ud. Eksportér tidligt.

Trin 2: Hvem klikkede?

Ingen enkelt kilde dækker alle klik. Kombinér:

Klikdata fra linkbeskyttelse. Hvis mailsystemet omskriver links, registrerer tjenesten typisk hvert klik med bruger, tidspunkt, oprindelig adresse og om klikket blev tilladt eller blokeret. I Microsoft 365 kræver det Defender for Office 365 med Safe Links, og at sporing af brugerklik er slået til i politikken. Dataene dækker kun klik, der går gennem tjenesten. → Defender XDR og Defender for Office 365 som datakilde
Proxy- og webfilterlogs viser forespørgsler til phishingdomænet fra virksomhedens netværk, med bruger, hvis proxyen kræver godkendelse.
DNS-logs viser opslag på domænet. Et opslag er ikke et klik: Mailklienter, forhåndsvisninger og sikkerhedsprodukter kan slå domæner op uden, at nogen har klikket. → DNS-logs som spor
EDR-telemetri kan vise netværksforbindelser fra browserprocesser til domænet på den enkelte computer.
Browserhistorik på de berørte enheder bekræfter besøget og viser den fulde adresse.

Det store hul er mobiltelefoner. En medarbejder, der læser mail på sin telefon via mobilnettet, klikker uden om proxy, DNS og EDR. Klikket kan kun ses i klikdata fra linkbeskyttelsen, hvis den virker i mobilklienten, og ellers kun på selve telefonen. QR-phishing udnytter netop det hul, se QR-koder og delte dokumenter som phishing.

Trin 3: Hvem indtastede oplysninger?

Hvis landingssiden var en falsk loginside, skal loginloggen undersøges for alle, der klikkede, og helst for alle modtagere. Kendetegn er:

et login kort efter klikket fra en adresse, der tilhører phishingsidens infrastruktur eller en hostingudbyder,
et login, hvor første faktor lykkedes, men totrinskravet ikke blev opfyldt, hvilket viser, at koden var afgivet,
godkendelsesanmodninger på telefonen, som brugeren godkendte,
risikohændelser fra identitetsudbyderen.

Er der tale om en side, der stjæler sessionen i realtid, ser mønstret anderledes ud. → AiTM-phishing: kendetegn på stjålne sessioner

Trin 4: Hvem blev kompromitteret?

For de konti, hvor der er tegn på afgivne oplysninger, skal det undersøges, om nogen fik adgang og brugte den: logins fra fremmede adresser, nye regler, app-samtykker, læste og sendte mails. Det er den egentlige undersøgelse af en overtaget konto og skal gøres pr. konto. Brug de samme kendetegn fra kampagnen, fx IP-adresser og brugeragenter, til at søge på tværs af alle konti, så konti, der ikke stod på listen over klik, også bliver fanget.

Google Workspace og andre platforme

I Google Workspace dækker Gmail-logsøgningen trin 1 med leveringsstatus pr. modtager, og auditloggene for logins dækker trin 3. Klikdata afhænger af, hvilke sikkerhedsfunktioner der er slået til, og af om links omskrives. Andre mailplatforme og eksterne mailfiltre har deres egne logs, ofte med kortere opbevaring og andre feltnavne. Uanset platform gælder samme princip: Find ud af, hvilke af de fire niveauer hver kilde dækker, før du konkluderer.

Sikring og rækkefølge

Kilderne udløber i forskelligt tempo. Proxy-, DNS- og firewall-logs på egne servere roterer ofte efter dage, detaljeret message trace efter en til tre måneder, og loginlogs efter en periode, der afhænger af licensen. Sikr derfor i rækkefølgen kortest først. Eksportér for en periode, der begynder før den første kendte mail i kampagnen, fordi der ofte har været en testudsendelse til få modtagere i forvejen. Gem hver eksport i rå form med hashværdi, og notér søgekriterier, så søgningen kan gentages, når nye varianter dukker op.

Ændringer som blokering af afsenderen, sletning af mails i alle postkasser og nulstilling af koder noteres med tidspunkt. Det gør det muligt bagefter at skelne klik før og efter indgrebet.

Omfanget som grundlag for et persondatabrud

For den databeskyttelsesansvarlige er spørgsmålet, om persondata er kompromitteret, og i hvilket omfang. Omfanget afhænger af niveau 4: Hvilke postkasser og filer havde de kompromitterede konti adgang til, og hvad viser loggen om, hvad der faktisk blev tilgået? Niveau 1 til 3 viser risikoen, men ikke at data er tilgået. Den praktiske håndtering af fristen er beskrevet på Persondatabrud: dokumentationen inden for 72 timer.

Fejlkilder

Linkscannere og sandkasser. Sikkerhedsprodukter åbner links automatisk, ofte sekunder efter levering. De står som klik eller besøg og kan forveksles med brugere. Kendetegn er klik umiddelbart efter levering, fra kendte scanneradresser eller med usædvanlige brugeragenter.
Forhåndsvisninger i chat- og mailklienter henter siden uden klik.
Fælles adresser. Proxylogs uden brugergodkendelse viser kun en intern IP-adresse, som skal kobles til en enhed og en bruger via DHCP-logs.
Huller i dækningen. Hjemmearbejde uden VPN, private enheder og mobiler er uden for netværkslogs.
Varianter. Kampagner med mange forskellige links eller afsendere kræver, at alle varianter er fundet, før omfanget er komplet.

Hvad loggene kan og ikke kan vise

Loggene kan vise, hvem der modtog mailen, og for de fleste klik på virksomhedens enheder og netværk, hvem der klikkede og hvornår. Loginloggen kan vise, hvem der afgav kode eller godkendelse. Fravær af et klik i loggene betyder ikke, at der ikke blev klikket, hvis klikket kan være sket uden for de dækkede kilder. Det skal stå i rapporten.

Dokumentation

Rapporten bør indeholde kampagnens kendetegn, søgekriterierne, hver logkildes periode og dækning, en tabel med brugere fordelt på de fire niveauer med tidspunkter i UTC og kilde, og en tydelig beskrivelse af de huller, der ikke kunne dækkes. Gem de rå eksporter med hashværdier, så en anden kan genskabe tallene.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Undersøgelse efter et hackerangreb

Læs også: Phishing-analyse: sikring af mail, link og landingsside · Ondsindede vedhæftninger: hvad der sikres på endpointet

→ Undersøgelse efter et hackerangreb · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik